Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes "Informationssicherheitsleitlinie"

1192 Amtsblatt des Saarlandes Teil I vom 15. Dezember 2016 346 Leitlinie zur Informationssicherheit der Landesverwaltung des Saarlandes Informationssicherheitsleitlinie Inhaltsverzeichnis 1 Einleitung 2 Stellenwert der Informationssicherheit 3 Geltungsbereich 4 Verantwortung der Leitung 5 Sicherheitsstrategie 6 Festlegung von Sicherheitszielen 7 Organisationsstruktur für Informationssicherheit 7.1 Landesregierung 7.2 Beauftragter der Landesregierung für Informationstechnik (CIO) 7.3 Stabsstelle für Informationstechnik und IT- Sicherheitsmanagement 7.4 Kompetenzteam Informationssicherheit (KT InfSich) 7.5 Ressort-IT-Sicherheitsbeauftragte (Ressort-IT- SiBe) 7.6 IT-Sicherheitsbeauftragte (wesentlicher Behörden) 7.7 Das CERT Saarland 7.8 Einbindung der Mitarbeiter in den Sicherheitsprozess 8 Verstöße und Folgen 9 Schlussbestimmungen 1 Einleitung In dieser Leitlinie zur Informationssicherheit werden die für die Staatskanzlei, die Ministerien und die ihnen nachgeordneten Behörden, Einrichtungen und Landesbetriebe – im Folgenden Landesverwaltung – des Saarlandes geltenden grundlegenden Ziele der Informationssicherheit festgelegt. Die Leitlinie zur Informationssicherheit • beschreibt den Stellenwert der Informationssicherheit • legt den Geltungsbereich der Leitlinie zur Informationssicherheit des Saarlandes fest • enthält das Bekenntnis der Leitung zu ihrer Verantwortung für die Informationssicherheit • legt die Sicherheitsstrategie fest • formuliert die allgemeinen Sicherheitsziele • definiert die Sicherheitsorganisation • verpflichtet zur kontinuierlichen Fortschreibung des Regelwerks zur Informationssicherheit • legt den Rahmen zur Inkraftsetzung und Veröffentlichung der Leitlinie zur Informationssicherheit des Saarlandes fest Mit diesem Dokument wird für das Saarland der Beschluss des IT-Planungsrates zur Erstellung einer Leitlinie für die Informationssicherheit umgesetzt. Aus Gründen der Vereinfachung und der besseren Lesbarkeit wird in dieser Leitlinie auf eine geschlechtersensible Schreibweise, insbesondere auch mit Sichtbarmachung durch Doppelnennungen, verzichtet. Es werden jedoch ausdrücklich immer Frauen und Männer gleichermaßen angesprochen. Soweit sinnvoll und möglich werden genderneutrale Formulierungen verwendet. 2 Stellenwert der Informationssicherheit Der Stellenwert der Informationssicherheit für die saarländische Landesverwaltung bemisst sich an der Bedeutung der Verfügbarkeit, der Integrität und der Vertraulichkeit von gespeicherten, verarbeiteten und übertragenen Informationen. Zu berücksichtigen ist dabei, dass die Informationstechnik in weiten Teilen der Landesverwaltung inzwischen die führende und teilweise sogar ausschließlich genutzte Kommunikations- und Arbeitsinfrastruktur darstellt. Solche vernetzten IT-Infrastrukturen sind einer steigenden Bedrohung durch Angriffe ausgesetzt. Zudem birgt die Vernetzung das Risiko der schnellen Ausbreitung von z.B. Schadsoftware. Im Bereich der Informationsverarbeitung und Kommunikation müssen deshalb Verfügbarkeit, Integrität und Vertraulichkeit der verarbeitenden und übertragenen Informationen durch angemessene technische und organisatorische Maßnahmen gewährleistet werden. Die Informationssicherheit ist für die Landesverwaltung zur Erfüllung ihrer Geschäftsaufgaben ein unverzichtbarer Grundwert, insbesondere aus folgenden Gründen: • Die gesetzlichen Vorschriften, beispielsweise zum Datenschutz müssen eingehalten werden. Dienst- und Amtsgeheimnisse müssen gewahrt bleiben. • Dienstleistungen, insbesondere auch OnlineDienste, für Bürger, Wirtschaft und Verwaltung müssen sicher, zuverlässig und vertrauenswürdig erbracht werden. • Die Auswirkungen eines eventuellen Schadensfalls sind durch angemessene Vorsorgemaßnahmen auf ein vertretbares Maß zu reduzieren. • Die in Technik, Informationen, Arbeitsprozesse und Wissen investierten Werte müssen erhalten werden. • Ein Ausfall der IT kann die Landesverwaltung in ihrer Arbeitsfähigkeit stark einschränken. • Ansehens- und Vertrauensverluste durch die Verletzung der Sicherheitsziele müssen vermieden werden. 3 Geltungsbereich Diese Leitlinie zur Informationssicherheit ist das übergeordnete Regelwerk für das landesweite Informationssicherheitsmanagement. Sie bildet die Grundlage für ressortspezifische Informationssicherheitsleitlinien und Richtlinien sowie Informationssicherheitskonzepte. Sie gilt verbindlich für die gesamte Landesverwaltung des Saarlandes und ist von allen Behörden und Einrichtungen des Landes entsprechend ihrer Aufgabenverantwortung umzusetzen. Die Ressorts und Behörden erstellen für ihre Bereiche eigenverantwortlich bei Bedarf ergänzende Informationssicherheitsleitlinien und setzen sie in ihrem Verantwortungsbereich eigenständig um. Im Justizressort ist die verfassungsrechtlich abgesicherte Sonderrolle der Gerichte und Staatsanwaltschaften zu berücksichtigen. Den Gemeinden und Gemeindeverbänden sowie den sonstigen der Aufsicht des Landes unterstehenden Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts wird im Interesse einer einheitlichen Sicherheitspolitik der öffentlichen Verwaltung die Berücksichtigung dieser Leitlinie empfohlen; hierzu stimmen sich das Land und die Kommunen auf Grundlage des E-Governmentpakts in Fragen der Informationssicherheit ab. 4 Verantwortung der Leitung Die Gesamtverantwortung für die Informationssicherheit in der Landesverwaltung zur Gewährleistung einer ordnungsgemäßen und sicheren Aufgabenerledigung tragen die Mitglieder der Landesregierung im Rahmen des in Artikel 91 der Verfassung des Saarlandes verankerten Ressortprinzips. Um dieser Verantwortung gerecht zu werden, sind personelle, infrastrukturelle, technische und organisatorische Maßnahmen umzusetzen, für die Ressourcen benötigt werden. Leitungen von Behörden und Einrichtungen des Landes sind innerhalb ihres Verantwortungsbereichs für die Informationssicherheit verantwortlich. Sie setzen geeignete Maßnahmen im Sinne der Leitlinie zur Informationssicherheit und des damit verbundenen Umsetzungsplan um, so dass die Vertraulichkeit, die Integrität und die Verfügbarkeit der Informationen gesichert werden. Die Umsetzung dieser Leitlinie sowie der resultierenden Sicherheitsmaßnahmen unterliegt einer ständigen Überprüfung in Anlehnung an die Vorgaben des Beschlusses des IT-Planungsrates, mit dem Ziel, Defizite zu erkennen und zu beheben. 5 Sicherheitsstrategie Die Sicherheitsstrategie für die Landesverwaltung des Saarlandes besteht darin, mit wirtschaftlichem Ressourceneinsatz ein höchst mögliches Maß an Sicherheit zu erreichen und verbleibende Restrisiken zu minimieren. Dieser kontinuierliche Prozess wird durch die Einführung eines ressortübergreifenden Informationssicherheitsmanagementsystems (ISMS) realisiert, das sich an der ISO 27001 auf der Basis von IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) orientiert und als kontinuierlicher Prozess gestaltet wird. Der Prozess umfasst die Schritte • Planung: Festlegung der Vorgaben für den Sicherheitsprozess und des ISMS in Abstimmung mit den Ressorts • Umsetzung: Aufbau eines ISMS, Erstellung und Umsetzung eines Sicherheitskonzepts sowie Etablierung des Sicherheitsprozesses • Überprüfung: Erfolgskontrolle der Erreichung der Sicherheitsziele • Aufrechterhaltung: Durchführung von Korrekturen zur Optimierung des Sicherheitsprozesses und der Sicherheitsorganisation Das ISMS wird ressortübergreifend durch die Stabsstelle für „Informationstechnik und IT- Sicherheitsmanagement“ im Ministerium für Finanzen und Europa in Abstimmung mit den Ressorts koordiniert. Auf dessen Grundlage bauen die Ressorts eigene ISMS auf; dazu gehört auch die 1194 Amtsblatt des Saarlandes Teil I vom 15. Dezember 2016 Benennung von Informationssicherheitsbeauftragten im jeweiligen Geschäftsbereich. Die Sicherheitsstrategie umfasst die gesamte Informationsverarbeitung in der Landesverwaltung. Das ISMS soll dem jeweiligen Schutzzweck angemessene Sicherheitsmaßnahmen definieren und für deren wirtschaftliche Umsetzung sorgen. Bei der Auswahl und Umsetzung von Sicherheitsmaßnahmen ist darauf zu achten, dass das erforderliche Sicherheitsniveau erreicht wird, ohne den Ablauf von Geschäftsprozessen unnötig zu beeinträchtigen. Die Sicherheitsstrategie wird von den folgenden Grundsätzen der Informationssicherheit geprägt: • Sicherheit für nachhaltige Verfügbarkeit: Um eine langfristige Verfügbarkeit zu erreichen, ist eine kurzfristige Einschränkung bei Funktionalität und Komfort vertretbar. • Prinzip des Schutzbedarfs: Der Schutzbedarf von IT-Systemen wird vom Schutzbedarf der darauf verarbeiteten, gespeicherten oder übertragenen Daten bestimmt. • Minimalprinzip des Zugriffs: Der Zugriff auf IT-Systeme und Daten wird auf die notwendigen Personen und Systeme beschränkt. • Restriktives Nutzungsprinzip: Jeder Nutzer erhält nur die Zugriffsrechte, die er zur Erfüllung seiner Aufgabe benötigt. • Einbindung aller Beschäftigten: Alle Beschäftigten werden in den Sicherheitsmanagementprozess zur Unterstützung der Sicherheitsstrategie eingebunden und hinsichtlich der Informationssicherheit sensibilisiert. • Zentrale Rolle der Informationssicherheit: Die Informationssicherheit wird bei Änderungen und Neuerungen von Beginn an mit berücksichtigt. Der IT-Sicherheitsbeauftragte ist bei allen Fragen zur Informationssicherheit zu unterstützen. • Verhältnismäßigkeit der Sicherheitsmaßnahmen: Aufwand und Ergebnis der eingesetzten Sicherheitsmaßnahmen müssen in einem angemessenen Verhältnis zueinander stehen. • Bereitstellung von ausreichenden Ressourcen: Um ein angemessenes Maß an Informationssicherheit zu erreichen und aufrecht zu erhalten, sind ausreichende finanzielle und personelle Ressourcen und letzteren der notwendige zeitliche Freiraum bereitzustellen. 6 Festlegung von Sicherheitszielen Zur Abbildung des hohen Stellenwertes der Informationssicherheit werden für die Landesverwaltung des Saarlandes die nachstehenden Sicherheitsziele festgelegt: • Vertraulichkeit Informationen dürfen ausschließlich einem berechtigten Personenkreis zur Verfügung stehen. • Integrität Die physische und logische Unversehrtheit von Systemen, Anwendungen und Daten muss jederzeit gewahrt sein. Dieses umfasst den Schutz vor unberechtigter Erstellung oder Änderung von Informationen. • Verfügbarkeit Systeme, Anwendungen und Daten müssen den Berechtigten stets wie vorgesehen zur Verfügung stehen. Bei der Erreichung dieser Ziele ist eine Verhältnismäßigkeit der eingesetzten Mittel zum Wert der schützenswerten Güter zu beachten. Aufgrund der erhöhten Anforderungen an den Datenschutz werden zusätzlich die Datenschutzziele Authentizität, Revisionsfähigkeit und Transparenz als Sicherheitsziele festgelegt: • Authentizität Personenbezogene Daten können jederzeit ihrem Ursprung zugeordnet werden. • Revisionsfähigkeit Es ist jederzeit nachvollziehbar, wer, wann, welche Daten in welcher Weise verarbeitet hat. • Transparenz Sämtliche Tätigkeiten bei der Planung, der Einführung und dem Betrieb von IT-Verfahren sind vordefiniert und dokumentiert. Außerdem bestehen geeignete Kontrollmöglichkeiten. 7 Organisationsstruktur für Informationssicherheit Die Organisationsstruktur für das ressortübergreifende ISMS der Landesverwaltung des Saarlandes besteht aus: • der Landesregierung • dem Beauftragten der Landesregierung des Saarlandes für Informationstechnik (Chief Information Officer, CIO) • der Stabsstelle „Informationstechnik und IT- Sicherheitsmanagement“ im Ministerium für Finanzen und Europa mit dem dort angesiedelten Landesbeauftragten für Informationssicherheit der Landesverwaltung (Chief Information Security Officer, CISO), • dem Computer Emergency Response Team Saarland (CERT SAL) • dem Kompetenzteam Informationssicherheit (KT InfSich) • den Ressort-Informationssicherheitsbeauftragten (Ressort-IT-SiBe) • den IT-Sicherheitsbeauftragten der nachgeordneten wesentlichen Behörden Weitere Rollen und Gremien können bei Bedarf in die Organisationsstruktur eingebunden werden. Abbildung 1: Organisationsstruktur Bei der Besetzung der Funktionen wird darauf geachtet, dass die Personen für die ihnen zugewiesene Aufgabe qualifiziert sind. Die für die Organisationsstruktur notwendigen Ressourcen werden mit geeigneten Vertreterregelungen zur Verfügung gestellt. 7.1 Landesregierung Die Landesregierung beschließt die Leitlinie und überträgt der Stabsstelle für „Informationstechnik und IT-Sicherheitsmanagement“ im Ministerium für Finanzen und Europa in Abstimmung mit dem CIO die Koordinierung der Umsetzung. Sie setzt dadurch die Rahmenbedingungen für die Informationssicherheit. 7.2 Beauftragter der Landesregierung für Informationstechnik (CIO) Die Verantwortung für die ressortübergreifende IT- Strategie liegt bei der Staatskanzlei (CIO). Die Informationssicherheitsstrategie wird aus der ressortübergreifenden IT-Strategie abgeleitet. Ziel ist ein ressortübergreifendes Informationssicherheitsmanagementsystem (ISMS) zu etablieren, aufrechtzuerhalten und kontinuierlich zu verbessern. 7.3 Stabsstelle für Informationstechnik und IT- Sicher heitsmanagement Die Verantwortung für die Informationssicherheitsstrategie, die ressortübergreifende Koordination der Informationssicherheitsmaßnahmen sowie die Kontrolle der Umsetzung dieser Maßnahmen liegt beim Ministerium für Finanzen und Europa. Die „Stabsstelle für Informationstechnik und IT-Sicherheitsmanagement“ im Ministerium für Finanzen und Europa mit dem dort angesiedelten CISO koordiniert die Informationssicherheit in der Landesverwaltung des Saarlandes. Die Leitung der Stabsstelle und der CISO haben ein direktes Vortragsrecht beim CIO. Als fester Bestandteil der Stabsstelle ist die Funktion eines Informationssicherheitsbeauftragten der Landesverwaltung (CISO: Chief of Information Security Office) eingerichtet. 1196 Amtsblatt des Saarlandes Teil I vom 15. Dezember 2016 Sie plant, koordiniert und dokumentiert den Informationssicherheitsprozess im Saarland. Dazu initiiert und koordiniert sie u.a. die Erstellung von landesweiten Informationssicherheitsstandards, die Erstellung und Fortschreibung eines ressortübergreifenden Sicherheitskonzepts sowie landeseinheitliche Richtlinien und Regelungen zur Informationssicherheit in der Landesverwaltung. Der CISO ist Vorsitzender des Kompetenzteams Informationssicherheitsmanagement (KT InfSich). Unter Berücksichtigung der Erkenntnisse und Vorschläge der Ressort-IT-SiBe unterrichtet er den Leiter der Stabsstelle und den CIO über dieaktuellen Risiken, die Wirksamkeit des ISMS und der Sicherheitsmaßnahmen und schlägt ggf. einen Maßnahmenkatalog zum Umgang mit den identifizierten Risiken vor. Die Stabsstelle führt eine Erfolgskontrolle der ressortübergreifenden Sicherheitsmaßnahmen in Bezug auf die Umsetzung dieser Leitlinie durch. 7.4 Kompetenzteam Informationssicherheit (KT InfSich) Das Kompetenzteam Informationssicherheit (KT InfSich) ist das koordinierende Gremium für alle ressortübergreifenden Aspekte der Informationssicherheit. Das gemäß Punkt 4.1.1.b der Richtlinie zur Bildung von IT-Kompetenzteams in der saarländischen Landesverwaltung (IT-Kompetenzteamrichtlinie) vom 14. Mai 2013 gebildete Kompetenzteam „Informationssicherheit“ besteht künftig aus • dem CISO als Vorsitzenden • und den Ressort-IT-Sicherheitsbeauftragten. Darüber hinaus können weitere Teilnehmer hinzugezogen werden. Den Informationssicherheitsbeauftragten der Verwaltung des Landtags und des Landesrechnungshofs sowie dem Landesbeauftragten für den Datenschutz stehen die Teilnahme frei. Das KT InfSich gibt sich eine Geschäftsordnung, in der die Grundlagen für die Zusammenarbeit geregelt werden. 7.5 Ressort-IT-Sicherheitsbeauftragte (Ressort-IT- SiBe) Die Ressort-IT-Sicherheitsbeauftragten (RessortIT-SiBe) koordinieren und verantworten die Informationssicherheit in ihren Geschäftsbereichen (Ressorts). Sie haben ein direktes Vortragsrecht bei der Leitung ihres Ressorts. Sie unterstützen den CISO in allen Fragen der Informationssicherheit, insbesondere bei der Erstellung von Berichten zur Informationssicherheit. 7.6 IT-Sicherheitsbeauftragte (wesentlicher Behörden) Die Behörden-IT-SiBe koordinieren und verantworten die Informationssicherheit in ihren Behörden. Sie haben ein direktes Vorspracherecht bei der Leitung ihrer Behörde. Sie unterstützen die Ressort-IT-SiBe in allen Fragen der Informationssicherheit, insbesondere bei der Erstellung von Berichten zur Informationssicherheit. Die Behörden-IT-SiBe erhalten bei Bedarf Unterstützung durch ein Informationssicherheitsmanagement-Team (ISM-Team) ihrer Behörde. Die obersten Landesbehörden bestimmen die jeweiligen wesentlichen Behörden. 7.7 Das CERT Saarland Das CERT Saarland (CERT = Computer Emergency Response Team) ist zentrale Anlaufstelle in der Landesverwaltung für präventive und reaktive Maßnahmen in Bezug auf sicherheits- und verfügbarkeitsrelevante Vorfälle. Neben weiteren Aufgaben unterstützt das CERT Saarland die Arbeit der „Stabsstelle für Informationstechnik und IT-Sicherheitsmanagement“ in fachlichen und organisatorischen Belangen. Das CERT Saarland • fungiert als zentraler Ansprechpartner (SPOC – Single Point of Contact), • analysiert eingehende Vorfallmeldungen, • leitet daraus Empfehlungen ab, • zeigt Lösungen für Sicherheitsprobleme auf, • betreibt einen Warn- und Informationsdienst, • alarmiert bei akuten Gefährdungen und • unterstützt bei der Beseitigung von Sicherheitsrisiken. Die Aufgabenwahrnehmung kann auch in Kooperation mit externen Partnern erfolgen. 7.8 Einbindung der Mitarbeiter in den Sicherheitsprozess Informationssicherheit betrifft ohne Ausnahme alle Mitarbeiter. Jeder Einzelne kann durch verantwortungs- und sicherheitsbewusstes Handeln dabei helfen, Schäden zu vermeiden und zum Erfolg beitragen. Sensibilisierung für Informationssicherheit und fachliche Schulung der Mitarbeiter sind daher eine Grundvoraussetzung für Informationssicherheit. Die Mitarbeiter müssen über den Sinn von Sicherheitsmaßnahmen aufgeklärt werden. Dies ist insbesondere wichtig, wenn sie Komfort- und/oder Funktionseinbußen zur Folge haben. Die Sicherheitsmaßnahmen sollten für den Anwender transparent und verständlich sein, sofern dadurch kein Sicherheitsrisiko entsteht. 8 Verstöße und Folgen Werden Verstöße gegen die Vorgaben dieser Leitlinie oder der Informationssicherheitsrichtlinien durch Behörden festgestellt, so wird die betreffende Behörde von der Stabsstelle für „Informationstechnik und IT-Sicherheitsmanagement“ im Ministerium für Finanzen und Europa über den zuständigen Ressort-IT-SiBe aufgefordert, in einer angemessenen Frist die Vorgaben umzusetzen. Bei anhaltenden Verstößen gegen die Vorgaben eskaliert die Stabsstelle den Vorfall an den CIO. 9 Schlussbestimmungen Diese Leitlinie zur Informationssicherheit tritt am Tag nach der Veröffentlichung im Amtsblatt des Saarlandes in Kraft. Im Rahmen des Informationssicherheitsprozesses wird diese Leitlinie zur Informationssicherheit nach spätestens 48 Monaten auf ihre Aktualität hin überprüft und ggfs. aktualisiert. Saarbrücken, den 15. November 2016 Ministerium für Finanzen und Europa Im Auftrag Lander